OpenVPN GUI mi-a salvat parola Windows: unde se află

Fereastra de conectare oferă o casetă pentru a reține autentificarea, iar bifarea ei mută datele contului din capul utilizatorului în mașină. Interfața nu spune niciodată unde. În Windows, candidații sunt zona de registru a utilizatorului curent, un fișier de profil care conține deja autentificarea și ceea ce face un script de automatizare. Fiecare loc are alt cititor, alt mod de eșec și altă curățare, așa că întrebarea utilă este ce proces poate recupera secretul și pentru cât timp. Urmați caseta din fereastră spre exterior, apoi decideți ce expune de fapt un laptop pierdut.

Începeți cu caseta din fereastra de conectare

Valorile reținute sunt păstrate pe profil și pe cont Windows, în stupul utilizatorului, nu într-un depozit comun al mașinii. De aceea un al doilea utilizator de pe același computer nu vede nicio autentificare salvată și de aceea reinstalarea clientului nu șterge neapărat intrarea salvată.

Fișierul de profil păstrează serverul, portul și setările, dar niciun secret, motiv pentru care oamenii inspectează mai întâi artefactul greșit. Ștergerea profilului înlătură deci conexiunea și lasă acreditările în urmă. Aceasta este cea mai frecventă surpriză la curățare. Eliminați ambele artefacte, nu unul.

Ce dezvăluie valoarea din registru

Numele contului este în text lizibil, așa că tot ce rulează ca acel utilizator îl poate decodifica fără vreun apel special. Parola este diferită: este sigilată cu Windows DPAPI, legată de cont și, în funcție de indicatori, de mașina concretă. Mutarea blocului sigilat pe alt computer și redarea lui nu produce deci un secret utilizabil.

Listarea valorilor răspunde la întrebarea operațională fără a atinge secretul. Nu trebuie decriptat nimic pentru a confirma că există o intrare. Lista servește și ca înregistrare înainte și după pentru curățare.

reg query "HKCU\Software\OpenVPN-GUI\configs" /s
cmdkey /list | findstr /i vpn
reg query "HKCU\Software\OpenVPN-GUI" /s | findstr /i "username password"

Două limite merită spuse direct. Un proces din aceeași sesiune conectată poate apela aceeași rutină de deprotejare pe care o folosește clientul, așa că sigilarea este protecție în repaus, nu împotriva unui desktop compromis. Iar fără criptarea completă a discului, valoarea sigilată este la fel de privată ca discul.

Când fișierul de profil conține deja autentificarea

Unele portaluri oferă o configurație cu numele contului și parola scrise în ea, așa că clientul se conectează în tăcere. În acel moment fișierul este o acreditare funcțională, iar fiecare copie a lui este o altă cheie pentru aceeași ușă.

Astfel de fișiere ajung în copii de siguranță, fire de chat și foldere sincronizate, iar niciuna dintre acele copii nu încetează să funcționeze când originalul este șters. Editarea fișierului local nu schimbă nimic la celelalte. Revocarea accesului înseamnă schimbarea parolei pe server, și asta prompt. Curățarea pe un singur laptop este o sarcină separată și mai mică.

Unde o solicitare este acceptabilă, preferați-o și folosiți controalele de cache ale clientului. Dacă un profil precompletat este cu adevărat necesar, țineți-l în afara folderelor sincronizate și eliminați-l când lucrarea se termină.

Automatizarea mută secretul în altă parte

Scripturile introduc încă două canale: argumente de proces și apăsări sintetice de taste. Un fișier numit pe o linie de comandă este vizibil pentru tot ce poate citi argumentele procesului sau permisiunile fișierului, iar o parolă scrisă de un instrument ajunge în fereastra care are focusul. Un exemplu publicat scrie parola desktopului în acest fel înainte de a lansa clientul. O sămânță de parolă unică stocată merită aceeași grijă, pentru că poate genera fiecare cod viitor și supraviețuiește unei singure autentificări.

Modelul mai bun păstrează secretul acolo unde doar contul de serviciu îl poate citi, se bazează pe opțiunile documentate ale clientului pentru reîncercare și sursa acreditărilor și evită tastarea injectată la solicitările de privilegii. Dacă scriptul are nevoie de parola desktopului pentru elevare, este o problemă de proiectare a privilegiilor, nu de VPN.

Curățare după un dispozitiv pierdut

Revocați sau dezactivați contul pe server înainte de orice altceva, pentru că ștergerea locală nu poate invalida o copie pe care cineva o are deja. Apoi curățați valorile de registru reținute, eliminați profilul și orice fișiere de acreditări și căutați parole lipite în istoricul shell-ului și în folderele de scripturi.

Notați ce a fost eliminat și când s-a încheiat accesul. Acea pereche răspunde la singura întrebare pe care o pune o analiză de incident: dacă vreo copie a acreditării încă funcționa după ce dispozitivul a plecat.